---
title: "Privacy statement: veelgemaakte fouten en valkuilen"
url: https://mkbjuristen.nl/blog/ondernemen/privacy-statement-valkuilen/
date: 2026-09-30
modified: 2026-09-30
lang: nl
author: "denian@mkbrecht.nl"
description: "De belangrijkste valkuilen bij een privacy statement: veelgemaakte fouten en hoe je ze voorkomt. Praktische uitleg voor het mkb."
categories:
  - "Ondernemen"
image: https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-valkuilen-hero-1024x576.jpg
word_count: 1000
---

# Privacy statement: veelgemaakte fouten en valkuilen

De grootste privacy statement valkuilen zijn een geleende tekst die niet klopt met uw praktijk, een verkeerd gekozen grondslag, vage bewaartermijnen en het verwarren van het statement met een verwerkersovereenkomst of cookieverklaring. Een privacyverklaring is verplicht onder de AVG (art. 13/14), maar een verklaring die niet overeenkomt met wat u werkelijk doet, biedt geen bescherming en werkt bij handhaving juist tegen u. Hieronder de fouten die het vaakst voorkomen.

## Het korte antwoord

- **Geleende tekst** die niet klopt met uw eigen verwerkingen.
- **Verkeerde grondslag**, meestal "toestemming" waar dat niet mag.
- **Vage bewaartermijnen** zoals "niet langer dan nodig".
- **Verwerkers niet genoemd** en geen verwerkersovereenkomsten gesloten.
- **Statement verward** met de cookieverklaring of verwerkersovereenkomst.
- **Verouderd**: nooit bijgewerkt na nieuwe verwerkingen.

## Privacy statement valkuilen beginnen bij de geleende tekst

![Privacy statement valkuilen bij een geleende of verouderde privacyverklaring](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-valkuilen-hero.jpg)

De meest voorkomende fout: een statement van een andere website kopiëren en de naam vervangen. Het resultaat beschrijft verwerkingen die u niet uitvoert en mist verwerkingen die u wél doet. De AVG eist dat de verklaring uw werkelijke praktijk beschrijft. Een tekst die belooft dat u geen nieuwsbrief stuurt terwijl u dat wel doet, of die een verwerker noemt die u niet gebruikt, voldoet niet. Bij een klacht of controle valt dit direct op.

## De verkeerde grondslag

![Verkeerde grondslag als valkuil in de privacyverklaring](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-valkuilen-body1.jpg)

Veel ondernemers zetten overal "toestemming" als grondslag, in de veronderstelling dat dat het veiligst is. Dat is een misvatting. Toestemming moet vrij, specifiek en intrekbaar zijn. Zet u toestemming onder een verwerking die noodzakelijk is voor de overeenkomst (een bestelling leveren), dan ontstaat een probleem zodra iemand die toestemming intrekt: u moet dan stoppen met verwerken terwijl u de gegevens nodig heeft. De juiste grondslag is dan "uitvoering van de overeenkomst". Kies per doel bewust en correct.

## Vage of ontbrekende bewaartermijnen

![Vage bewaartermijnen als veelgemaakte fout in het privacy statement](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-valkuilen-body2.jpg)

"Wij bewaren uw gegevens niet langer dan noodzakelijk" is de meest geciteerde loze zin in privacyverklaringen. Het zegt niets. De AVG verlangt een concrete termijn of een concreet criterium: facturen zeven jaar (fiscaal), sollicitatiegegevens vier weken na afwijzing, camerabeelden vier weken. Ontbrekende termijnen wijzen er bovendien op dat u niet weet hoe lang u wat bewaart — precies wat de wet wil voorkomen. Maak het concreet.

## Verwerkers vergeten en overeenkomsten missen

Een statement dat de verwerkers niet noemt is onvolledig. Maar de grotere fout zit erachter: veel ondernemers noemen wél dat zij met leveranciers werken, maar sluiten geen verwerkersovereenkomst (art. 28 AVG) met die partijen. Het statement en de verwerkersovereenkomst zijn twee losse verplichtingen. Uw boekhoudsoftware, hostingpartij en mailtool verwerken persoonsgegevens in uw opdracht; met elk daarvan hoort een verwerkersovereenkomst. Het statement noemt hen, de overeenkomst bindt hen.

## Het statement verwarren met andere documenten

Een terugkerende valkuil is het door elkaar halen van drie documenten met een verschillende functie:

- **Privacy statement**: informeert de betrokkene, openbaar, eenzijdig.
- **Verwerkersovereenkomst**: bindt uw leveranciers, een contract op grond van art. 28 AVG.
- **Cookieverklaring**: beschrijft de trackingtechniek op uw website, gekoppeld aan de cookiebanner.

Wie denkt met één document alles af te dekken, mist verplichtingen. Een cookiebanner zonder cookieverklaring, of een statement dat de cookies "wel even meeneemt" zonder de banner en de weigermogelijkheid, is niet compleet.

## Praktijkvoorbeeld

Een webshop kopieert het statement van een concurrent. Daarin staat dat er geen marketingcookies worden geplaatst, terwijl de webshop zelf een advertentiepixel gebruikt. Bovendien noemt het statement een fictieve bewaartermijn en ontbreekt de verwerkersovereenkomst met de e-mailmarketingtool. Na een klacht van een klant komt dit alles aan het licht. De fout was niet het ontbreken van een statement, maar een statement dat niet bij de werkelijkheid paste — een valse zekerheid.

## Eerlijke aanbeveling

![Jurist wijst op valkuilen in een privacy statement bij een mkb-onderneming](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacy-statement-valkuilen-advies.jpg)

De meeste valkuilen voorkomt u zonder jurist: schrijf uw eigen verwerkingen op in plaats van te kopiëren, kies per doel de juiste grondslag, maak bewaartermijnen concreet en sluit verwerkersovereenkomsten. Voor een eenvoudige onderneming volstaat zorgvuldigheid en een goede template. Schakel een jurist in zodra de grondslagkeuze u onzeker maakt, u bijzondere persoonsgegevens verwerkt, profileert of buiten de EU deelt. Juist bij die situaties zijn de fouten het duurst en de handhaving het strengst.

Meer lezen: [wat is een privacy statement](https://mkbjuristen.nl/blog/ondernemen/wat-is-een-privacy-statement/), hoe u er een [opstelt](https://mkbjuristen.nl/blog/ondernemen/privacy-statement-opstellen/), of laat een [privacy statement opstellen](https://mkbjuristen.nl/contracten/privacy-statement/).

## Veelgestelde vragen

**Wat is de grootste valkuil bij een privacy statement?** Een geleende tekst die niet klopt met uw eigen verwerkingen. De AVG eist dat de verklaring uw werkelijke praktijk beschrijft. Een gekopieerd statement dat verwerkingen noemt die u niet doet, of andersom, voldoet niet en werkt bij een klacht of controle tegen u.

**Waarom is "toestemming" vaak de verkeerde grondslag?** Toestemming moet vrij en intrekbaar zijn. Zet u die onder een verwerking die noodzakelijk is voor de overeenkomst, dan moet u stoppen zodra iemand de toestemming intrekt, terwijl u de gegevens nodig heeft. De juiste grondslag is dan "uitvoering van de overeenkomst".

**Wat is er mis met "niet langer dan nodig"?** Het is te vaag. De AVG verlangt een concrete bewaartermijn of een concreet criterium, zoals facturen zeven jaar, sollicitatiegegevens vier weken na afwijzing en camerabeelden vier weken. Een vage zin wijst erop dat u niet weet hoe lang u wat bewaart.

**Moet ik met elke leverancier een verwerkersovereenkomst sluiten?** Met elke partij die persoonsgegevens in uw opdracht verwerkt, zoals boekhoudsoftware, hosting en een mailtool, hoort een verwerkersovereenkomst (art. 28 AVG). Het statement noemt hen, de overeenkomst bindt hen. Beide zijn losse verplichtingen die u niet mag overslaan.

**Is een cookieverklaring onderdeel van het statement?** Nee. De cookieverklaring beschrijft specifiek de trackingtechniek op uw website en hoort bij de cookiebanner met een weigermogelijkheid. Wie de cookies "even meeneemt" in het statement zonder banner en weigeroptie is niet compleet.

**Moet ik het statement bijwerken?** Ja. Een veelgemaakte fout is een verklaring die nooit is aangepast na nieuwe verwerkingen, andere leveranciers of gewijzigde bewaartermijnen. Een verouderd statement dat niet meer klopt met uw praktijk voldoet niet aan de transparantie-eis van de AVG.

**Wanneer heb ik een jurist nodig om fouten te voorkomen?** De meeste valkuilen voorkomt u zelf met zorgvuldigheid. Schakel een jurist in zodra de grondslagkeuze u onzeker maakt, u bijzondere persoonsgegevens verwerkt, profileert of gegevens buiten de EU deelt. Daar zijn de fouten het duurst en de handhaving het strengst.